没有颁发者证书的 OCSP 验证

Question

我目前正在开发一个使用 OCSP 或 CRL 验证签名证书（如 pdf 格式）的应用程序。这些很可能是叶证书，没有整个链。事实证明，获取任一验证服务的 URL 都很简单。

据我了解，OCSP 和 CRL 都需要证书颁发者对其进行验证。所以现在我被卡住了，因为输入中不包含它。 AIA 扩展可能包含指向 CA 证书的 URL，但不幸的是，这是颁发证书的 CA，而不是证书本身。

有没有其他方法可以只给叶子就获得颁发者的证书？或者在某些情况下，OCSP/CRL 可以在没有它的情况下进行验证？

Answer 1

查看https://www.ietf.org/rfc/rfc2560.txt，其中详细说明了 OCSP 响应被视为有效的要求：

关键 用于签署响应的必须属于以下之一：

-- 颁发相关证书的 CA

-- 一个可信响应者，其公钥被请求者信任

-- 持有证书的 CA 指定响应者（授权响应者） 由 CA 直接颁发的特殊标记证书，表明 响应者可以为该 CA 发出 OCSP 响应

第一个和第三个选项都需要颁发者证书。第二个选项没有。但是我认为该选项不适用于您的情况。链接https://wiki.mozilla.org/CA:OCSP-TrustedResponder 详细说明了什么是可信响应者以及何时可以实际使用。